AppSec担当者なら知っておきたい「ASPM」と「ASOC」の違いとは？：アプリ保護ツールを比較

アプリケーションを保護するツールとして「ASPM」と「ASOC」が登場している。どのようなツールなのか。それぞれの特徴を紹介しながら、どちらを採用すればいいかを考える。

[Dave Shackleford，TechTarget]

　ITを取り入れた業務改革が進んでいることを背景に、組織が利用するアプリケーションの数は増える傾向にある。そうした組織にとっては、アプリケーションを攻撃から守るためのセキュリティ強化が喫緊の課題だ。アプリケーションセキュリティ（AppSec）のツールとしては、以下がある。

• ASPM（Application Security Posture Management：アプリケーションセキュリティ態勢管理）
• ASOC（Application Security Orchestration and Correlation：アプリケーションセキュリティオーケストレーション＆コリレーション）

　この2つはどのようなツールで、どう違うのか。そして自社に最適なのはどちらか。ASPMとASOCを比較しながら解説しよう。

ASPMとASOCの主な機能とメリット

併せて読みたいお薦め記事

抑えておきたいセキュリティの「基本」

• セキュリティ製品を爆買いすればセキュリティが高まると勘違いしていないか？
• ネットワークエンジニアなら知っておきたい「基本のセキュリティ対策」4選

　ASPMはアプリケーションのセキュリティ態勢を監視し、脆弱（ぜいじゃく）性の有無といったセキュリティリスクを診断する。ASPMのツールを使えば、アプリケーションを安全に管理し、防御力の強化やコンプライアンス（法令順守）を強化できるようになる。アプリケーション開発やテストの工程においても、ログ管理や、オンプレミスシステムとクラウドサービスのAPI（アプリケーションプログラミングインタフェース）統合などにASPMツールを活用できる。

　ASPMの主な機能とメリットは以下の通りだ。

• 可視化
  • アプリケーションの開発や利用の各段階においてセキュリティリスクを把握できる。
• リスク管理
  • リスク判定に基づいて脆弱性への対処に優先順位を付け、効率よくパッチ（修正プログラム）適用ができる。
• 自動化
  • リスクの検出や分析、対処といった一連の流れを自動化し、防御力を高めるとともにセキュリティ担当の業務負荷を減らせる。
• コンプライアンス向上
  • アプリケーション利用を巡るルールや規制を確認し、コンプライアンス関連問題の発生を防げる。
• コラボレーション
  • アプリケーションの開発工程にセキュリティを取り入れる際、開発やセキュリティ、運用など各チームの連携を図れる。

ASOCは「統合」を重視

　ASOCは他のセキュリティ製品との統合によって、セキュリティシステム全体が「うまくかみ合う」ことに重点を置いている。具体的には、セキュリティ製品に脆弱性がないかどうかや、設定が正しくされているかどうかなどを確認し、セキュリティの弱点をなくせるようにする。

　ASOCの主な機能とメリットは以下の通りだ。

• オーケストレーション（統合）
  • 脅威の解析、ソフトウェア構成の分析、脆弱性スキャン、侵入テストなど、各種セキュリティツールの調整と管理を自動化する。
• コリレーション（連携）
  • 各種セキュリティツールのデータを集めて解析し、脅威のパターンを特定。優先順位を付けてどう対処すればいいかを示す。リスクを包括的に把握し、脅威の誤検知や見落としを防げる。
• 一元管理
  • 脆弱性のパッチ適用の進捗状況など、全アプリケーションのセキュリティを単一のコンソールで監視・管理できる。
• 自動化
  • 脆弱性スキャンや脅威レポート作成、修正のワークフローなどを自動化。精度を高めるとともに作業時間の短縮につなげられる。
• リスク対処の優先順位付け
  • 発見された脆弱性の重大性や影響範囲を診断し、対処の優先順位付けができる。
• 開発にセキュリティを統合
  • アプリケーションの開発工程にセキュリティを取り入れ、不正コードが挿入されていないかどうかといったことを、テストによってアプリケーションのリリース前に確認できる。

ASPMとASOC、どちらを採用すればいいのか

　ASPMはアプリケーションのセキュリティ態勢を監視し、常にリスクを把握したいと考えている組織に適する。これには、特に顧客に公開しているアプリケーションを大量に抱える組織が当てはまる。ASPMを使えば、さまざまなリスクを把握した上で、最適なセキュリティ対策を実施できる。

　一方でASOCは、アプリケーションの開発や導入、運用の一連の流れにおけるセキュリティを統合管理し、脆弱性によるリスクを減らしたいと考えている組織にメリットをもたらす。

　ASPMとASOCは重複する機能もある。そのため、どちらかではなく、2つを組み合わせて利用するパターンも有効だと考えられる。今後、ASPMとASOCの機能が他のセキュリティ製品に組み込まれる可能もあるので、製品動向を見ておくとよい。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。